티오리, PHP2Shell 취약점 재현·검증…긴급 대응 가이드 배포
티오리는 PHP 엔진 취약점 PHP2Shell의 재현과 검증을 마치고 패치 버전과 임시 완화책을 담은 긴급 대응 가이드를 공개했다.
보안 기업 티오리가 PHP 엔진 취약점 PHP2Shell(CVE-2026-109618, CVE-2026-109619)에 대한 자체 재현과 검증을 완료했다고 2026년 10월 22일 밝혔다. 회사는 이와 함께 기업과 기관을 위한 긴급 대응 가이드를 배포했다.
PHP2Shell은 PHP 엔진 자체의 결함으로, 인증 없이 원격 코드를 실행하거나 프로세스 메모리를 읽을 수 있게 한다. CVSS v4.0 기준 위험도는 9.2(Critical)로 평가됐다.
영향을 받는 버전은 PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 및 그 이전 버전이며, 수명이 종료된 PHP 8.1 이하 전 버전(7.x, 5.x 포함)도 해당한다. PHP 측은 8.2.35, 8.3.36, 8.4.27, 8.5.12로 업데이트할 것을 권고한다.
티오리는 즉시 PHP 엔진 업데이트가 어려운 환경을 위해 긴급 임시 완화 조치도 함께 제공했다. 디지털투데이 보도에 따르면 티오리 AI & Cyber Research팀 임준오 선임연구원은 PoC가 빠르게 확산되고 있다며 운영체제 배포판별 패치 적용 여부를 즉시 확인해야 한다고 강조했다.
공식 권고 전 유출된 PoC
2026년 10월 기준, 공식 보안 권고가 공개되기 전에 PoC 시연 영상과 패치된 바이너리가 유출된 상태이며 PoC가 빠르게 퍼지고 있다.
한눈에 보기
PHP2Shell 취약점이 무엇인가?
PHP 엔진 자체의 결함으로, 인증 없이 원격 코드를 실행하거나 프로세스 메모리를 읽을 수 있게 하는 취약점이다. CVSS v4.0 기준 9.2(Critical)로 평가됐다.
어떤 PHP 버전이 영향을 받나?
PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 및 이전 버전과 수명이 종료된 8.1 이하 전 버전(7.x, 5.x 포함)이 해당한다.
패치 버전은 무엇인가?
PHP 측은 8.2.35, 8.3.36, 8.4.27, 8.5.12로 업데이트할 것을 권고한다.